Ett bedrägerisvarsteam behöver en kort redogörelse för vem meddelandet påstods vara, vad det mottagande systemet faktiskt verifierade och vilken affärsåtgärd som förblir osäker. En lång rubrikdump ensam svarar inte på dessa frågor. Bevara tekniska original, skapa sedan en beslutsorienterad sammanfattning med tillförsikt och okända.
Håll fyra identiteter åtskilda
Anteckna den synliga författarens adress, svar till, kuvertidentitet och DKIM signering av domäner där sådana finns. Lägg till den uppenbara personen eller organisationen som representeras av visningstext som ett separat anspråk. Ett visningsnamn som ser legitimt ut kan samexistera med en annan domän. DMARC undersöker domänjustering, inte om den namngivna chefen godkände meddelandet. RFC 9989.
Ersätt inte en käll-IP för den ansvariga personen eller kunden. Delade tjänster, vidarebefordran och gateways komplicerar rutten. Behandla ägande av infrastruktur som en lead som kräver korrelation med serviceuppgifter och auktoriserad utredning, inte en färdig anklagelse.
Märk varje bevislager
Den ursprungliga exporten är den fångade artefakten. Mottagarresultat är uttalanden från en specifik autentiseringstjänst. Verksamhetsverifiering är en separat bekräftelse genom organisationens auktoriserade arbetsflöde. Tillskrivning är en undersökande slutsats som kan förbli olöst. Lägg dessa lager i separata fält så att en bedrägerianalytiker inte misstar en för en annan.
RFC 8601 beskriver förtroendegränsen för Authentication-Results. Ett fält som kopieras från en otillförlitlig källa kan inte bli auktoritativt bara genom att inkluderas i incidentpaketet. RFC 8601. Bevara tvivelaktiga fält som bevis på vad som fanns, men märk dem som otillförlitliga och begär mottagarens bekräftelse.
Bygg överlämningsrekordet
Inkludera en ärendeidentifierare, samlingsägare, mottagareobserverad tid när tillgänglig, original-hash, delning-kopia-hash, observerade identiteter, affärsförfrågan, känd påverkan och omedelbar nästa åtgärd. Ange om en betalning har begärts, påbörjats eller bekräftats skickad; dra inte slutledning av förlust från ordalydelsen i ett e-postmeddelande. Håll onödiga personliga eller ekonomiska detaljer borta från en allmänt delad sammanfattning.
För finansiella förfrågningar tillhör en känd kontaktcheck hos betalningsägaren. FBI rekommenderar att du verifierar konto- och betalningsändringar oberoende av varandra via en känd kanal. FBI vägledning. Autentiseringsfynd bör informera det svaret utan att bli ekonomisk auktorisation.
Granska en fullständig hypotetisk handoff
Fall DEMO-FRAUD-01 är ett skriftligt exempel, inte en fångad incident. Ange visningsnamnet Exempelkonton och synlig från billing@brand-payments.test . Svara-till, kuvertsändare och DKIM -signeringsdomäner medföljer inte. En kopierad header gör anspråk på ett pass för brand.test, men dess pålitliga mottagareursprung är okänt; autentisering och aktörstillskrivning förblir olösta.
Originalfil, samlingstidsstämpel, original-hash, redigerad kopia-hash och transformationslogg är inte tillgängliga i det här exemplet. Fabrikera inte någon av dessa värden. I ett verkligt fall behåller den auktoriserade samlaren originalet och registrerar exakt vad en mottagarspecifik derivata ändrar, och beräknar sedan varje fils faktiska sammandrag. En sammanfattning identifierar bytes, inte den mänskliga avsändaren.
Antag att affärsbegäran är en betalningsändring. Om pengar initierades eller skickades är okänt, och verifiering av känd kontakt har inte slutförts. Den föreslagna finansägaren behåller verifieringshållningen; den föreslagna postägaren skaffar betrodda mottagarbevis; incidentledaren godkänner all specifik delning. Detta är oaccepterade rolluppdrag för undervisning, inte utförda callbacks, redaktioner eller rapporter.
Avsluta handoffen med en uttrycklig begäran om beslut: bevara en betalningsspärr, undersök ett konto, verifiera en leverantörsinstruktion eller invänta ett namngivet bevis. Det hindrar det tekniska teamet från att oavsiktligt besluta om en ekonomisk åtgärd och hindrar bedrägeriteamet från att anta att varje obesvarad teknisk fråga blockerar omedelbar inneslutning.